Merujuk pada Diagram Layout logical ASCII berikut:

Apa yang tidak diperlihatkan oleh diagram ini adalah VA (Validation Authority) memiliki datasource Jboss tersendiri yang berbeda dari datasource yang digunakan oleh CA (Certifictaion Authority). Namun, dalam environment standalone, koneksi ini mengarah ke database yang sama (database ejbca) yang digunakan oleh CA.

• Mendfinisikan datasource VA adalah tujuan utama dari file va-publisher.properties (file berada di /opt/ejbca/conf/ setelah di copy dari /opt/ejbca/conf/sample/).
• seperti datasource CA, konfigurasi datasource VA juga akan ditambahkan ke dalam file standalone.xml selama deployment. (setelah file . properties yang spesifik dengan VA dibuat).
• Perlu dicatat bagaimana PrimeKey menggunakan istilah “Publisher”. Publisher ini digunakan untuk menggambarkan gagasan tentang informasi dari komponen “publishing” EJBCA (dari sebuah datasource) ke sebuah server terpisah pada sebuah instalasi EJBCA yang terdistribusi.
• Misalkan server standalone kita hanya “publishing” ke service VA-nya sendiri , kita masih membutuhkan “publisher” untuk dimasukkan dalam va-publisher.properties.
• file va.properties menjelaskan operasi VA secara umum seperti fungsi pemeriksaan kesehatan (healthcheck).
• file ocsp.properties mendefinisikan fungsionalitas protokol OCSP.
• File va.properties berisi instruksi spesifik bagaimana mengizinkan download CRL/OCSP alias untuk beberapa (multiple) instance CA.

Langkah pertama untuk menjalankan VA adalah membuat file-file properties yang terkait validasi pada direktori /opt/ejbca/conf. caranya:

cd /opt/ejbca/conf
cp sample/ocsp.properties.sample ocsp.properties
cp sample/va.properties.sample va.properties
cp sample/va-publisher.properties.sample va-publisher.properties

Konfigurasi file-file Validation Authority

ocsp.properties

### Start ocsp.properties ###
 
 # ------------ OCSP responder configuration ---------------------
 
 ocsp.enabled=true
 #ocsp.enabled=false
 
 # ini path untuk URL OCSP
 ocsp.contextroot=/ejbca/publicweb/status
 #ocsp.contextroot=/status
 
 # ini adalah DN dari CA yang akan merespon untuk serifikat yang gak dikenal
 ocsp.defaultresponder=CN=NamaCALo,O=PerusahaanLo,C=ID
 
 ocsp.includecertchain=true
 ocsp.includesignercert=true
 ocsp.responderidtype=keyhash
 ocsp.signaturealgorithm=SHA1WithRSA;SHA1WithECDSA;SHA1WithDSA
 ocsp.signingCertsValidTime=300
 ocsp.warningBeforeExpirationTime=10000
 
 ocsp.nonexistingisgood=false
 
 #ocsp.nonexistingisgood.uri.1=.*/thisEndingIsGood$
 #ocsp.nonexistingisgood.uri.2=^http://good.myhost.nu:8080/.*
 #ocsp.nonexistingisbad.uri.1=.*/thisEndingIsBad$
 #ocsp.nonexistingisbad.uri.2=^http://bad.myhost.nu:8080/.*
 ocsp.nonexistingisrevoked=false
 #ocsp.nonexistingisrevoked.uri.1=.*/thisEndingIsRevoked$
 #ocsp.nonexistingisrevoked.uri.2=^http://revoked.myhost.nu:8080/.*
 
 ocsp.expiredcert.retentionperiod = 31536000
 #ocsp.expiredcert.retentionperiod = -1
 
 ocsp.untilNextUpdate = 0
 #ocsp.999.untilNextUpdate = 50
 ocsp.revoked.untilNextUpdate = 0
 #ocsp.999.revoked.untilNextUpdate = 50
 ocsp.maxAge = 30
 #ocsp.999.maxAge = 100
 ocsp.revoked.maxAge = 30
 #ocsp.999.revoked.maxAge = 100
 
 #ocsp.extensionoid=
 #ocsp.extensionclass=
 
 #ocsp.uniddatsource=
 #ocsp.unidtrustdir=
 #ocsp.unidcacert=
 #ocsp.signaturerequired=false
 
 #ocsp.rekeying.trigging.password=
 #ocsp.rekeying.wsurl = https://milton:8443/ejbca/ejbcaws/ejbcaws
 #ocsp.rekeying.update.time.in.seconds=
 #ocsp.rekeying.safety.margin.in.seconds=
 #ocsp.rekeying.trigging.hosts=
 
 # Default: false
 ocsp.trx-log = true
 ocsp.log-date = yyyy-MM-dd:HH:mm:ss:z
 #ocsp.log-timezone = GMT
 #ocsp.trx-log-pattern = \\$\\{(.+?)\\}
 # The next line will probably line-wrap in your browser:
 #ocsp.trx-log-order = ${SESSION_ID};${LOG_ID};${STATUS};${REQ_NAME}"${CLIENT_IP}";"${SIGN_ISSUER_NAME_DN}";"${SIGN_SUBJECT_NAME}";${SIGN_SERIAL_NO};"${LOG_TIME}";${REPLY_TIME};${PROCESS_TIME};${NUM_CERT_ID};0;0;0;0;0;0;0;"${ISSUER_NAME_DN}";${ISSUER_NAME_HASH};${ISSUER_KEY};${DIGEST_ALGOR};${SERIAL_NOHEX};${CERT_STATUS}
 
 ocsp.audit-log = true
 #ocsp.audit-log-pattern = \\$\\{(.+?)\\}
 # The next line will probably line-wrap in your browser:
 #ocsp.audit-log-order = SESSION_ID:${SESSION_ID};LOG ID:${LOG_ID};"${LOG_TIME}";REPLY TIME:${REPLY_TIME};\nTIME TO PROCESS:${PROCESS_TIME};\nOCSP REQUEST:\n"${OCSPREQUEST}";\nOCSP RESPONSE:\n"${OCSPRESPONSE}";\nSTATUS:${STATUS}
 #ocsp.log-safer = true
 
 
 ### End ocsp.properties ###

va.properties

### Start va.properties ###
 
 #------------------- Validation Authority (VA) Healthcheck settings -------------
 ocsphealthcheck.signtest=true
 ocsphealthcheck.checkSigningCertificateValidity=true
 
 
 # PrimeKey's instructions here are particularly terrible. Let me see if I can translate:
 
 # In this last setting, we will define an alias 'root' for a particular RFC 4985 Section 2.1 "Search Key ID Hash" or "sKIDHash"
 # Our example sKIDHash is:'O4RdnGNf3WPioslAQsX71aR1/MI'
 # sKIDHashes are unique to each CA instance that you run on your ejbca server.
 
 # This has the effect of making the following URLs equivalent. This simplifies the entries in your certificates that specify
 # CRL/OCSP download locations, and grants the ability to have simultaneous CRL/OCSP download URLs
 # Typically, you will define a unique sKIDHash alias for each of your CA instances.
 
 # Example URL for certificate search: http://myhost.com:8080/certificates/search.cgi?sKIDHash=O4RdnGNf3WPioslAQsX71aR1/MI
 # This will be the same as http://myhost.com:8080/certificates/search.cgi?alias=root
 
 # Example URL for CRL download: http://myhost.com:8080/crls/search.cgi?sKIDHash=O4RdnGNf3WPioslAQsX71aR1/MI
 # is the same as http://myhost.com:8080/crls/search.cgi?alias=root
 
 # Example URL for Delta CRL download: http://myhost.com:8080/crls/search.cgi?sKIDHash=O4RdnGNf3WPioslAQsX71aR1/MI&delta=
 # is the same as http://myhost.com:8080/crls/search.cgi?alias=root&delta=
 
 
 # To determine the hash to use here, navigate to http://yourhost.com:8080/crls/search.cgi or http://yourhost.com:8080/certificates/search.cgi
 # (Omit the :8080 if you are browsing from somewhere other than localhost)
 # This URL will give you a list of the unique validation identifiers (including the sKIDHash) for each of your defined CAs.
 
 # Copy the sKIDHashes for the CA instances. Remember, you will have more than one, and you can omit the Management CA as it is solely internal to ejbca.
 # Add an entry like the one below for each of your CAs, paste the sKIDHash into the entry, then redeploy ejbca.
 
 
 #va.sKIDHash.alias.root=O4RdnGNf3WPioslAQsX71aR1/MI
 
 ### End va.properties ###

va-publisher.properties

Start va-publisher.properties ###
 
 #-------------- Validation Authority(VA) publisher db configuration-------------------------
 # All the "ocsp-database.*" properties are used to configure the VA connection to the database.
 #
 # In "PrimeKeyese": Configure these options if you are configuring EJBCA that will publish 
 # certificates to a VA.
 
 
 ocsp-datasource.jndi-name=OcspDS
 ocsp-database.url=jdbc:mysql://127.0.0.1:3306/ejbcadb?characterEncoding=UTF-8
 ocsp-database.driver=com.mysql.jdbc.Driver
 ocsp-database.username=ejbcadbuser
 
 
 # password Databasenya diatur di sini
 ocsp-database.password=asalaja
 
 ### End va-publisher.properties ###

Untuk membuat VA berjalan, kita perlu mengeksekusi beberapa perintah yang sama sebelum kita melakukan deployment awal:

su - jboss
cd /opt/jboss/bin
ps -ax | grep jboss
kill -9 <proses_jboss>
chown -R jboss:jboss /opt/jboss-as-7.1.1.Final
chown -R jboss:jboss /opt/ejbca_ce_6_2_0
nohup ./standalone.sh -b 0.0.0.0 -bmanagement=0.0.0.0 &
cd /opt/ejbca
ant deploy

ingat bahwa dalam ocsp.properties, kita mendefinisikan “ocsp.defaultresponder“. Ini adalah DN dari CA yang akan menjawab permintaan OCSP untuk CA yang tidak diketahui. Primekey merekomendasikan agar kita menggunakan Management CA (Root CA) untuk ini. Namun, alangkah lebih baiknya bila kuta menggunakan default CA (Sub CA) untuk tujuan ini atau kita menggunakan Sebuah SubCA yang kita buat terlebih dahulu.

sampai SubCA itu berhasil dibuat, kita akan melihat pesan berikut dalam console log (nohup.out):

dan terakhir, kalau terjadi masalah dengan file va-publisher.properties milik kita, mungkin kita akan melihat pesan berikut:

06:31:45,632 WARN  [org.ejbca.core.protocol.certificatestore.CertificateCache] (MSC service thread 1-2) org.bouncycastle.ocsp.OCSPException: problem creating ID: java.security.NoSuchProviderException: no such provider: BC

“BC” adalah Bouncycastle (OCSP Java Module)

Itu tadi cara menambahkan Validation Authority ke dalam EJBCA. Untuk pengujian VA tersebut, nantikan postingan selanjutnya ya.

Adios!!!

Source: EJBCACENTOS

The post Menambahkan Validation Authority pada EJBCA 6.2.0 first appeared on GoBlog.